LGPD em CFTV com IA: o que muda quando a câmera passa a decidir

Engenharia Por Juliano Baladão · 4 de setembro de 2026 · 6 min de leitura

Quem é controlador e quem é operador num CFTV terceirizado?

A LGPD distribui papéis por poder de decisão, não por tamanho de empresa nem por quem escreveu o software. Num condomínio com câmeras isso costuma resolver-se sem ambiguidade: foi o condomínio que decidiu instalar, onde apontar, qual regra aplicar e por quanto tempo guardar. O fornecedor executa dentro dos limites contratados, e o art. 39 reforça a assimetria — o operador trata segundo as instruções do controlador.

A consequência prática é a que mais gera atrito. Os direitos do art. 18 — confirmação, acesso, correção, anonimização, eliminação, informação sobre compartilhamento — são exercidos perante o controlador. Um morador que quer saber quais imagens suas existem pergunta ao condomínio; se o pedido chegar ao fornecedor, o caminho é encaminhar e apoiar tecnicamente.

Isso não isenta ninguém. O art. 42 estabelece que o controlador ou o operador que causar dano em violação à legislação de proteção de dados é obrigado a repará-lo, e a ANPD registra que estão sujeitos à sua fiscalização todos os agentes de tratamento quando a operação ocorre em território nacional, quando visa oferecer bens ou serviços ou tratar dados de indivíduos aqui localizados, ou quando os dados foram coletados no Brasil.

Por que consentimento é uma base legal ruim para vigilância?

Porque não existe consentimento válido de quem passa. A pessoa que atravessa a portaria não foi consultada, e o art. 8º torna difícil consertar isso depois: o consentimento precisa referir-se a finalidades determinadas, autorizações genéricas são nulas, o ônus da prova é do controlador, e ele pode ser revogado a qualquer momento por procedimento gratuito e facilitado.

Um sistema de segurança que depende de consentimento revogável deixa de funcionar justamente para quem tem mais interesse em revogá-lo. Por isso a base adequada para segurança patrimonial é normalmente o legítimo interesse.

O teste de balanceamento do legítimo interesse, em linguagem clara

O art. 7º, IX, admite o tratamento necessário aos interesses legítimos do controlador ou de terceiro, exceto quando prevalecerem direitos e liberdades fundamentais do titular. Essa exceção é o teste — três perguntas em sequência.

1. O interesse é legítimo e concreto? O art. 10 exige finalidades legítimas consideradas a partir de situações concretas. “Segurança” no abstrato não é finalidade; “identificar veículo que trafega acima do limite na via interna” é.
2. O tratamento é necessário para alcançá-lo? O art. 10, § 1º, é taxativo: só os dados estritamente necessários à finalidade podem ser tratados. Se um registro pontual resolve, gravar tudo é excesso.
3. O que o titular esperaria? Câmera em área comum de acesso controlado, com aviso visível, é esperada. Análise de comportamento individual sem aviso não é — e é aí que o interesse do controlador tende a ceder.

Duas obrigações acompanham essa base e são esquecidas com frequência: o art. 10, § 2º, manda garantir a transparência do tratamento por legítimo interesse, e o art. 37 exige registro das operações, especialmente quando baseadas nessa hipótese. Quem escolhe essa base assume o dever de documentar.

Reconhecimento facial é tratamento de dado biométrico, e isso muda o regime

O art. 5º, II, define dado pessoal sensível incluindo o dado genético ou biométrico quando vinculado a uma pessoa natural. Dado sensível não se rege pelo art. 7º: tem lista própria no art. 11, mais curta e mais exigente, com consentimento específico e destacado ou hipóteses taxativas de dispensa — nenhuma escrita com “segurança patrimonial” em mente.

O risco não é teórico. Em maio de 2023, o Idec noticiou que o Tribunal de Justiça de São Paulo manteve em segunda instância a condenação da ViaQuatro — concessionária da linha 4-Amarela do Metrô de São Paulo — pelo uso indevido de imagens de reconhecimento facial de consumidores, em ação civil pública sobre tratamento não consentido de dados biométricos de passageiros para fins de publicidade. A indenização por danos morais coletivos passou de R$ 100 mil para R$ 500 mil, revertidos ao Fundo de Defesa de Direitos Difusos. Segundo o release, cabia recurso.

Detectar classe e comportamento é regime diferente de identificar quem é a pessoa

A distinção decisiva de projeto: o sistema responde “há uma pessoa nesta zona às 22h14” ou “esta pessoa é fulano”? A primeira produz classe, posição, tempo e comportamento. A segunda produz identidade a partir de traço corporal — biometria.

Convém não exagerar a diferença. Imagem de pessoa identificável continua sendo dado pessoal (art. 5º, I), e a LGPD continua valendo integralmente. O que muda é a categoria e, com ela, o patamar de exigência: sai-se do art. 11 e volta-se ao art. 7º, o que torna o legítimo interesse uma base disponível.

Muda também a superfície de dano. Um sistema que nunca constrói identificador biométrico não tem base de rostos para vazar nem pode ser reaproveitado para rastrear alguém entre locais diferentes. É escolha de arquitetura com efeito jurídico, e por isso precisa estar escrita na política, não só no código.

Quais boas práticas são verificáveis por um terceiro?

Conformidade que não pode ser conferida por quem não confia em você é declaração de intenção. A tabela abaixo lista só práticas cujo cumprimento produz artefato — documento, registro, tela, prazo — que alguém de fora pode pedir para ver.

Duas linhas merecem comentário. O relatório de impacto do art. 38 deve conter, no mínimo, os tipos de dados coletados, a metodologia de coleta e de garantia da segurança, e a análise do controlador sobre salvaguardas e mitigação de risco — roteiro útil mesmo quando ninguém o exigiu; o art. 10, § 3º, prevê que a autoridade nacional pode solicitá-lo quando o tratamento se funda em legítimo interesse.

E a minimização. Guardar o evento em vez do fluxo contínuo é a diferença entre um acervo de segundos e um acervo de meses, e resolve de uma vez o art. 10, § 1º, o custo de armazenamento e o tamanho do estrago num incidente. Sobre o que precisa estar dentro de um registro para ele se sustentar, escrevemos em evidência de vídeo que se sustenta.